Problemen met Microsoft Entra-rollen oplossen die zijn toegewezen aan groepen

Beheerders van bevoorrechte rollen kunnen een groep maken die in aanmerking komt voor roltoewijzing. Gebruikers met deze rol kunnen deze schakeloptie zien.

De beheerder van bevoorrechte rollen beheert standaard het lidmaatschap van een groep die kan worden toegewezen aan rollen, maar u kunt het beheer van roltoewijzingsgroepen delegeren door groepseigenaren toe te voegen.

De gebruiker heeft mogelijk toegang gekregen tot Adreslijstlezers via een groep die kan worden toegewezen aan rollen. Alle leden en eigenaren van roltoewijzingsgroepen zijn beveiligd. Gebruikers met de rol Privileged Authentication Administrator kunnen referenties voor een beveiligde gebruiker opnieuw instellen.

De gebruiker kan eigenaar zijn van een roltoewijzingsgroep. We beschermen eigenaren van roltoewijzingsgroepen om uitbreiding van bevoegdheden te voorkomen. Een voorbeeld hiervan is als een groep Contoso_Security_Admins is toegewezen aan de rol Beveiligingsbeheerder, waarbij Bob de groepseigenaar is en Alice de wachtwoordbeheerder binnen de organisatie is. Zonder deze beveiliging kan Alice de referenties van Bob opnieuw instellen en zijn identiteit overnemen. Alice kan zichzelf of iedereen toevoegen aan de groep Contoso_Security_Admins groep om beveiligingsbeheerder te worden in de organisatie. Als u wilt achterhalen of een gebruiker een groepseigenaar is, opent u de lijst met objecten in eigendom voor die gebruiker en controleert u of een van de groepen isAssignableToRole ingesteld op true. Zo ja, dan is die gebruiker beveiligd en is het gedrag standaard. Raadpleeg de volgende documentatie voor toegang tot objecten in eigendom:

• Get-MgUserOwnedObject
• Lijst ownedObjects

Ja, dat kan. Beheerders van bevoorrechte rollen kunnen toegangsbeoordelingen maken voor groepen die aan rollen kunnen worden toegewezen.

Ja, dat kan. Gebruikersbeheerder heeft de machtigingen om een groep in een toegangspakket te plaatsen. Er zijn geen wijzigingen voor globale beheerder, maar er is een kleine wijziging in de rolmachtigingen van de gebruikersbeheerder. Als u een roltoewijzingsbare groep in een toegangspakket wilt plaatsen, moet u een gebruikersbeheerder en ook eigenaar van de roltoewijzingsgroep zijn. Hier volgt de volledige tabel waarin wordt weergegeven wie toegangspakket kan maken in Enterprise License Management:

*Groep kan niet worden toegewezen; isAssignableToRole = false. Als een groep rollen kan worden toegewezen, moet de persoon die het toegangspakket maakt ook eigenaar zijn van de roltoewijzingsgroep.

Dit antwoord is alleen van toepassing op Microsoft Entra ID P1-organisaties.

1. Meld u aan bij het Microsoft Entra-beheercentrum als minimaal beheerder van bevoorrechte rollen.
2. Blader naar Identiteit>Gebruikers>Alle gebruikers.
3. Een gebruiker selecteren.
4. Selecteer dan Toegewezen rollen.
5. Selecteer een roltoewijzing die u wilt verwijderen.
6. Selecteer Toewijzingen verwijderen om directe roltoewijzingen te verwijderen.

Als u indirecte roltoewijzingen wilt verwijderen, verwijdert u de gebruiker uit de groep waaraan de rol is toegewezen.

Volg vervolgens deze stappen:

1. Meld u aan bij het Microsoft Entra-beheercentrum.
2. Blader naar Identiteitsgroepen>>Alle groepen.
3. Selecteer Filters toevoegen.
4. Filter op rol die kan worden toegewezen.

Volg vervolgens deze stappen:

1. Meld u aan bij het Microsoft Entra-beheercentrum.
2. Blader naar Identiteit>Gebruikers>Alle gebruikers.
3. Een gebruiker selecteren.
4. Selecteer dan Toegewezen rollen.
5. Als u een Licentie voor Microsoft Entra ID P1 hebt, bekijkt u de kolom Toewijzingspad .
6. Als u een Licentie voor Microsoft Entra ID P2 hebt, bekijkt u de kolom Lidmaatschap .

Als u een bestaande groep aan een rol toewijst, kan de bestaande groepseigenaar andere leden aan deze groep toevoegen zonder dat de nieuwe leden zich realiseren dat ze de rol hebben. Omdat rollen toewijsbare groepen krachtig zijn, hebben we beperkingen ingesteld om ze te beschermen. U wilt geen wijzigingen aan de groep die verrassend zou zijn voor de persoon die de groep beheert.

Volgende stappen

• Microsoft Entra-groepen gebruiken om roltoewijzingen te beheren
• Een roltoewijzingsgroep maken